Patch Tuesday de noviembre: Microsoft corrige 1.094 fallos y un zero-day de Outlook ya explotado que filtra tu hash de acceso

Microsoft ha publicado este martes su Patch Tuesday de noviembre de 2026, con correcciones para 1.094 vulnerabilidades en sus productos. Entre ellas hay una que no podía esperar: CVE-2026-124194, un zero-day de Outlook que, según la propia casa, ya se explotaba en ataques reales antes de que existiera el parche. Es el único fallo del mes marcado como explotado, y ninguno se había divulgado antes de hoy.

El ataque es de los silenciosos. Un atacante sin autenticar envía un archivo de mensaje manipulado y convence a la víctima de abrirlo en Outlook. Al hacerlo, el programa se conecta a una dirección controlada por el atacante sin mostrar el aviso de contenido externo, y puede filtrarse el hash NTLMv2 del usuario: con él, el atacante puede autenticarse como esa persona y suplantarla. Microsoft lo califica de gravedad moderada (CVSS 6,5) y precisa que el panel de vista previa no sirve como vía de ataque. Afecta a Microsoft 365 Apps for Enterprise y a Office LTSC 2021 y 2024, y lo descubrieron un investigador que firma como «nono» y Benoît Sevens.

La escala del mes sigue la tónica del año. De los 1.094 fallos de Microsoft, 726 están en Windows y 174 en Office, con SQL Server, SharePoint, Azure y Exchange en la lista; BleepingComputer eleva el conteo total a 1.235 al sumar los republicados de terceros, 66 de ellos críticos. Octubre fue aún mayor, con unas 1.411, y según SecurityWeek la casa ya supera los 5.000 fallos corregidos en 2026, un ritmo que la prensa especializada atribuye en parte al uso de IA para encontrar vulnerabilidades.

La letra pequeña decide si estás protegido. El arreglo del zero-day no viaja dentro del parche acumulativo de Windows (KB5132061): llega con la actualización de seguridad de Office y Microsoft 365 Apps, así que un equipo puede mostrar Windows «al día» y seguir expuesto por el correo. Este mes es, además, el último para las ediciones Enterprise y Education de Windows 11 23H2, que no recibirán más actualizaciones mensuales, y en diciembre no habrá actualización previa de no seguridad.

La recomendación es doble y para hoy: actualizar Windows y, sobre todo, Office, empezando por quien use Outlook de escritorio con cuentas de empresa. Un fallo «moderado» sobre el papel ya era la puerta que los atacantes usaban; estar o no en la lista de víctimas es, esta vez, un clic en buscar actualizaciones.